令和5年度 春期 応用情報技術者試験 午後問題 問1 ランサムウェア感染とCSIRT・EDRによる再発防止

ランサムウェアなどのマルウェア感染が疑われる場合、被害の拡大（他の端末やサーバへの感染伝播）を防ぐために、直ちに当該端末をネットワークから切り離すことが鉄則です。

各選択肢の解説

• ア: ファイルの削除だけでは、バックグラウンドで動作するマルウェアを完全に排除できない可能性があります。
• イ: アプリケーションを終了しても、OSレベルで動作しているマルウェアの通信や暗号化処理は止まりません。
• ウ: 正解。二次被害を防ぐための最優先事項です。
• エ: ランサムウェアの脅迫メッセージに従って身代金を支払ったり操作したりすることは避けるべきです。

調査では、メール添付の実行によってランサムウェアがPC-Sへインストールされたことが確認されています。一方、外部への不審な通信やLAN内のスキャンはなく、C&C以降へ進んだ痕跡はありません。したがって、完了した段階は表1の項番 5（インストール） までです。

表2の項番3は、インシデント発生時の対応手順が整備されていないという課題です。表3で対応体制や手順を検討して明文化する改善策は項番 5 なので、これが対応します。

PC上の不審な挙動を監視する仕組みは EDR（Endpoint Detection and Response）です。

各選択肢の解説

• ア (APT): Advanced Persistent Threatの略で、持続的標的型攻撃のことです。監視の仕組みではありません。
• イ (EDR): 正解。エンドポイント（PCやサーバ）での挙動を監視し、サイバー攻撃を検知・対応する仕組みです。
• ウ (UTM): Unified Threat Managementの略で、ファイアウォールやIPS/IDSなどを統合したネットワークセキュリティ機器です。
• エ (WAF): Web Application Firewallの略で、Webアプリケーションへの攻撃を防御する仕組みです。

インシデント対応を行う専門組織の略称は CSIRT（Computer Security Incident Response Team）です。

各選択肢の解説

• ア (CASB): Cloud Access Security Brokerの略で、クラウドサービスの利用状況を可視化・制御する仕組みです。
• イ (CSIRT): 正解。セキュリティインシデント発生時に対応・解決を図る組織です。
• ウ (MITM): Man-In-The-Middleの略で、中間者攻撃という攻撃手法のことです。
• エ (RADIUS): Remote Authentication Dial-In User Serviceの略で、ネットワーク上のユーザー認証プロトコルです。

表4の項番3は、使用中の情報機器を把握する取組と、関連する脆弱性情報を収集する取組を組み合わせています。前者に対応する表3の項番は、資産目録を更新する 3 です。

表4の項番3のうち、把握した情報機器に関する脆弱性情報を収集する取組は、表3の「脆弱性情報の収集方法を確立する」に当たります。したがって項番は 6 です。bとcの3・6は順不同です。

表4の項番4で社内外の連絡体制を整理して文書化することは、表3の「インシデント発生時の対応体制や手順を検討して明文化する」に対応します。したがって項番は 5 です。

サイバー攻撃を受けた際に調査すべき内容として、使用された攻撃手法 と 被害を受けた機器の種類 が挙げられます。

各選択肢の解説

• ア (使用された攻撃手法): 正解。再発防止や影響範囲の特定のために必須の調査項目です。
• イ (被害によって被った損害金額): インシデント対応の初動調査としては優先度が低く、事後の影響評価のフェーズで算出されます。
• ウ (被害を受けた機器の種類): 正解。どの機器が影響を受けたかを特定することは、封じ込めや復旧対応において極めて重要です。
• エ (被害を受けた組織の業種): 自組織の業種は既知であり、インシデント調査の対象ではありません。

全従業員を対象に訓練を実施すべき対応は、インシデントをいち早く発見し報告する 検知/通報（受付） です。

各選択肢の解説

• ア (検知/通報（受付）): 正解。一般の従業員が不審なメールやPCの挙動に気づいた際、速やかに適切な窓口へ連絡するための訓練が重要です。
• イ (トリアージ): 報告を受けたインシデントの優先順位付けを行う工程であり、主にCSIRTなどの専門チームが担当します。
• ウ (インシデントレスポンス): インシデントの封じ込めや根絶、復旧を行う工程で、専門知識を持つ担当者が行います。
• エ (報告/情報公開): 経営層や広報担当などが主導して行う対外的な対応です。

ランサムウェアは、感染したPCだけでなく、そのPCからアクセス可能なファイルサーバや記録媒体にも被害を拡大させる特性があります。そのため、バックアップを取得した記録媒体は、PCやネットワークから物理的に隔離して保管する必要があります。

高得点のポイント

• ランサムウェア被害の拡大防止の観点を踏まえていること。
• 記録媒体を接続したままにすると暗号化の被害を受けるため、物理的・論理的にPC（ネットワーク）から切り離す旨を明確に記述すること。
• 20字以内という字数制限に従い、簡潔かつ的確な表現を用いていること。